La AEPD sancionó con 300.000 € a una empresa por enviar datos personales a un proveedor de email marketing sin tener las cláusulas contractuales actualizadas. No hubo brecha, no hubo denuncia de un cliente enfadado, no hubo mala fe. Faltaba un papel.
Eso es exactamente lo que haces cada vez que automatizas algo: coger datos personales de un sitio y mandarlos a otro. Un formulario que entra en tu CRM. Un lead que sale hacia una herramienta de email. Una factura que viaja a tu gestoría. Cada una de esas conexiones es un tratamiento de datos, y la mayoría de pymes las monta sin mirar la parte legal porque asume que eso va de otra cosa.
Esta guía no es un manual de RGPD. Hay cientos. Va de algo más concreto: qué cambia legalmente cuando automatizas, qué tienes que revisar antes de conectar dos herramientas y dónde están los errores que salen caros sin que nadie actúe de mala fe.
Para quién es esta guía
Pymes españolas que ya automatizan o están a punto de hacerlo: formularios que alimentan un CRM, secuencias de email, chatbots, integraciones entre herramientas. No sustituye el asesoramiento de un especialista en protección de datos, y en la última sección te digo exactamente cuándo necesitas uno.
Qué cambia legalmente cuando automatizas
Tratar datos personales a mano y tratarlos de forma automática se rigen por la misma norma —el RGPD (Reglamento UE 2016/679) y la LOPDGDD (Ley Orgánica 3/2018)—, pero automatizar cambia cuatro cosas en la práctica:
| Qué cambia | Antes, a mano | Al automatizar |
|---|---|---|
| Número de destinatarios | Los datos vivían en una o dos herramientas | Un solo flujo puede tocar cinco proveedores distintos, y con cada uno hace falta un contrato |
| Volumen | Lo que daba tiempo a teclear | Miles de registros. La AEPD usa el volumen como criterio para graduar la sanción |
| Trazabilidad | Nadie sabía por dónde había pasado un dato | Queda registro de todo, y eso juega a tu favor si te inspeccionan |
| Decisiones automatizadas | Decidía una persona | Si el sistema decide solo y afecta significativamente a alguien, aplica el art. 22 y hay que dar salida humana |
La tercera fila conviene subrayarla porque va en contra de la intuición: automatizar bien te deja mejor posición ante una inspección, no peor. Un flujo documentado con registro de ejecuciones demuestra qué pasó con cada dato. Un proceso manual en hojas de cálculo y correos no demuestra nada.
Encargado del tratamiento: el papel que falta casi siempre
Cuando una herramienta trata datos personales por cuenta tuya —tu CRM, tu plataforma de email, tu chatbot— es un encargado del tratamiento. Y el art. 28 del RGPD exige un contrato con cada uno. No un apretón de manos: un documento.
La buena noticia es que casi todas las plataformas serias lo tienen ya redactado y disponible en su web, normalmente como DPA o Acuerdo de Encargado de Tratamiento. Muchas lo aceptan automáticamente al firmar los términos. La mala es que nadie comprueba si existe hasta que llega un problema.
El caso de los 300.000 €. La sanción no fue por usar un proveedor de email marketing. Fue por hacerlo con las cláusulas contractuales sin actualizar. La empresa tenía contrato; lo que no tenía era la versión vigente tras el cambio normativo. Es el tipo de omisión documental que provoca la mayoría de sanciones a pymes, y la que menos cuesta evitar.
Tu inventario de encargados, en diez minutos
Abre tu último flujo automatizado y apunta cada herramienta por la que pasa un dato personal. Un flujo típico de captación de leads toca más de las que parece:
- El formulario de la web o el gestor de anuncios de donde viene el lead
- La herramienta de automatización que orquesta el flujo
- El CRM donde acaba el contacto
- La plataforma de email o de WhatsApp que le escribe
- El hosting o la nube donde se guardan los ficheros adjuntos
Son cinco contratos, no uno. Y cada uno tiene que estar en su versión vigente.
Dónde acaban tus datos: el mapa que nadie mira
El Capítulo V del RGPD (arts. 44 a 49) regula qué pasa cuando los datos salen del Espacio Económico Europeo. Y salen mucho más de lo que la gente cree: buena parte de las herramientas SaaS que usa una pyme española tienen los servidores fuera.
Hay tres situaciones, de menos a más trabajo:
| Dónde están los servidores | Qué tienes que hacer |
|---|---|
| Dentro de la UE o del EEE | Nada especial. No es transferencia internacional. Es el escenario cómodo |
| País con decisión de adecuación | Puedes transferir sin garantías adicionales. A abril de 2026 la lista incluye Andorra, Argentina, Canadá, Israel, Japón, Nueva Zelanda, Corea del Sur, Suiza, Reino Unido y Uruguay |
| Resto del mundo | Necesitas garantías: cláusulas contractuales tipo vigentes, normas corporativas vinculantes o alguno de los mecanismos del art. 46. Y mantenerlas actualizadas, que es donde se cae la gente |
Por eso, cuando eliges herramienta, la ubicación de los servidores no es un detalle técnico: es la diferencia entre no tener que hacer nada y tener que mantener un expediente. Si estás montando el stack desde cero, elegir proveedores con servidores en la UE te ahorra trabajo permanente, no puntual.
Pipedrive
Desde 14€/usuario/mes · servidores en Alemania
Como ejemplo de lo anterior: el CRM es la herramienta que más datos personales concentra de todo el stack, así que es donde más pesa dónde estén los servidores. Pipedrive los tiene en Alemania, dentro de la UE, y eso te quita de encima el expediente de transferencias para la pieza central. No te exime del contrato de encargado —eso hace falta igual—, pero elimina la parte que más mantenimiento pide. A través de Flowmatic son 30 días de prueba en vez de los 14 estándar.
Enlace de afiliado. Flowmatic recibe una comisión si contratas tras hacer clic, sin coste adicional para ti.
Minimización: el principio que más te ahorra
El art. 5 del RGPD dice que solo puedes tratar los datos adecuados y limitados a lo necesario. Aplicado a la automatización, se traduce en algo muy práctico: no mandes a cada herramienta todo lo que tienes, manda solo lo que esa herramienta necesita.
Es fácil hacerlo mal sin darse cuenta. El caso típico: un flujo coge el objeto completo del formulario y lo empuja tal cual a tres sistemas. La herramienta de email acaba almacenando el NIF y el importe del presupuesto, que no necesita para nada, y ahora ese dato vive en un sitio más del que responder.
Con n8n esto se resuelve con un nodo de transformación antes de cada salida, seleccionando los campos concretos. Cuesta cinco minutos por flujo y reduce de verdad tu superficie de exposición.
Los derechos del usuario, resueltos con un flujo
Cualquiera puede pedirte acceso a sus datos, rectificación, supresión, oposición o portabilidad, y tienes un mes para responder. En una pyme sin automatizar, cada petición de estas es media jornada de alguien buscando en seis sitios distintos. Y cuando hay prisa, se olvida uno.
Automatizarlo no es solo comodidad: es lo que hace que la respuesta sea completa, que es exactamente lo que se te va a exigir si alguien reclama.
Fíjate en que el flujo no borra ni entrega nada por su cuenta: recopila y avisa. Eso es deliberado. Antes de borrar hay que verificar la identidad de quien pide y comprobar si existe obligación legal de conservar algo, por ejemplo facturas por motivos fiscales. Un flujo que borra solo es un problema esperando a ocurrir; uno que reúne la información y deja decidir a una persona es una herramienta excelente.
| Derecho | Qué tienes que hacer | El matiz que se olvida |
|---|---|---|
| Acceso | Decirle qué datos tienes y para qué | Incluye lo que hay en el CRM y en el histórico del chatbot, no solo la ficha |
| Supresión | Borrar lo que no debas conservar | Las facturas se conservan por obligación fiscal. Explícaselo, no lo ignores |
| Oposición | Dejar de mandarle comunicaciones | Hay que marcarlo, no borrarlo: si lo borras, vuelve a entrar con la próxima importación |
| Portabilidad | Dárselos en formato reutilizable | Un CSV vale. No hace falta nada sofisticado |
La fila de oposición esconde el error más repetido de todos. Alguien pide no recibir más correos, se le borra del sistema de envíos, y tres meses después vuelve a entrar porque sigue en el CRM y alguien hizo una importación nueva. La lista de exclusión tiene que ser permanente y estar por encima de cualquier importación.
Cinco errores que provocan sanciones sin mala fe
| Error | Por qué pasa | Cómo evitarlo |
|---|---|---|
| Contratos de encargado sin actualizar | Se firmaron una vez y nadie los revisa cuando cambia la normativa | Revisión anual con la lista de herramientas delante. Una hora al año |
| Herramientas que nadie sabe que están | Alguien conectó un servicio a un flujo hace ocho meses y ya no se acuerda | Inventario escrito de qué toca cada flujo, y actualizarlo al montar uno nuevo |
| Guardar «por si acaso» | Nadie borra nunca nada, y menos si es automático | Definir plazo de conservación por tipo de dato y automatizar el borrado |
| Base legal confusa | Se asume que hay consentimiento para todo, incluido escribir a quien pidió un presupuesto | Distinguir entre ejecutar un contrato, interés legítimo y consentimiento. No es lo mismo |
| Ignorar el derecho de supresión | Se borra del CRM y el dato sigue en otras cuatro herramientas | Montar un flujo de supresión que recorra todos los sistemas, no solo el principal |
Preguntas frecuentes
¿Puedo escribir por WhatsApp a alguien que pidió presupuesto?
Para responder a lo que te ha pedido, sí: estás ejecutando una relación precontractual que él mismo ha iniciado. Donde cambia la cosa es al usar ese número para mandarle promociones distintas más adelante. Eso ya es comunicación comercial y necesita su propia base legal. Automatizar el seguimiento de un presupuesto abierto es una cosa; meter a esa persona en una secuencia de marketing es otra.
¿Un chatbot con IA puede tratar datos personales?
Puede, con las mismas condiciones que cualquier otro tratamiento: base legal, información al usuario y contrato con el proveedor del modelo, que también es encargado. Los dos puntos que más se descuidan: avisar de que se está hablando con un sistema automático, y comprobar si el proveedor usa las conversaciones para entrenar. Si las usa y hay datos de clientes dentro, tienes un problema que no se arregla con un aviso legal.
¿Necesito Delegado de Protección de Datos?
La mayoría de pymes, no. Es obligatorio cuando eres autoridad pública, cuando tu actividad principal exige observación sistemática a gran escala, o cuando tratas categorías especiales a gran escala. Una pyme normal que automatiza su comercial no encaja en ninguno de los tres supuestos. Otra cosa es que te convenga asesoramiento puntual, que suele salir mucho más barato que una sanción.
¿Autoalojar n8n me deja mejor que usar la nube?
En transferencias internacionales, sí: si el servidor es tuyo y está en la UE, esa pieza deja de ser un encargado externo. Pero ojo, porque a cambio la seguridad pasa a ser responsabilidad tuya: actualizaciones, copias, control de accesos. Cambias un problema documental por uno operativo. Para muchas pymes compensa; para otras, no.
¿Cuándo necesito de verdad a un especialista?
Cuando tratas datos de salud, de menores o categorías especiales; cuando automatizas decisiones que afectan a personas, como conceder financiación o descartar candidatos; cuando trabajas con proveedores fuera del EEE sin decisión de adecuación; o cuando recibes una reclamación. En el resto de casos, con criterio y las cinco cosas de la tabla anterior vas bien cubierto.
¿Necesito un delegado de protección de datos?
La mayoría de pymes no. Es obligatorio cuando tratas datos a gran escala, cuando haces observación sistemática de personas o cuando manejas categorías especiales como salud a gran escala. Una asesoría de quince personas o un taller no encajan ahí. Lo que sí necesitas, tengas o no delegado, es tener el registro de actividades y saber responder a una reclamación.
¿Vale con copiar una política de privacidad de otra web?
No, y es de las cosas que peor sientan cuando llega una inspección. La política tiene que describir tus tratamientos reales, tus encargados y tus plazos. Copiada de otro sitio va a mencionar herramientas que no usas y omitir las que sí, con lo que no acredita nada. Como base para redactarla está bien; como documento final, no.
Si el proveedor tiene servidores en Estados Unidos, ¿es ilegal?
No es ilegal, es más papeleo. Existen marcos que permiten la transferencia, pero tienes que identificarla, documentar la garantía en la que te apoyas y reflejarla en tu registro. Por eso, a igualdad de producto, un proveedor con servidores en la UE te ahorra trabajo permanente. No es una cuestión de miedo, es de mantenimiento.
¿Cuánto cuesta poner esto en orden?
Para una pyme estándar, entre 800 y 2.500 € de asesoramiento inicial si partes de cero, más el tiempo interno de documentar tus flujos. Comparado con el coste de gestionar una reclamación sin tener nada preparado, sale barato. Y buena parte del trabajo, el mapa de dónde están tus datos, lo puedes hacer tú.
¿Automatizas sin saber por dónde pasan tus datos?
En Flowmatic montamos los flujos con el inventario de herramientas hecho y la minimización aplicada desde el principio. No somos asesores legales y te lo decimos claro: si tu caso pide un especialista, te lo diremos en la primera llamada en vez de improvisar.
Si el flujo que te preocupa es el de WhatsApp, en la guía de WhatsApp Business API están las particularidades del canal. Y si estás decidiendo qué CRM montar, en qué es un CRM y para qué sirve tienes el criterio de elección con la ubicación de servidores como uno de los factores.
